Je ex-medewerker neemt je bedrijfswachtwoorden mee, en niemand heeft het door

Een medewerker vertrekt, levert netjes zijn laptop in en de overdracht is rond. Je zet zijn account uit en denkt: geregeld. Toch kunnen jouw bedrijfswachtwoorden op dat moment gewoon thuis bij hem op de bank staan. Niet omdat hij iets heeft meegenomen, maar omdat zijn browser dat voor hem heeft gedaan.

Dit is een van die risico’s waar bijna niemand bij stilstaat. En het is verrassend eenvoudig af te dekken.

Hoe Chrome-synchronisatie werkt

Log je in Chrome in met een Google-account, dan synchroniseert de browser je gegevens naar dat account. Google is daar open over: het gaat om bladwijzers, geschiedenis, geopende tabbladen, betaalgegevens én opgeslagen wachtwoorden. Handig bedoeld, want je hebt op elk apparaat je eigen omgeving bij de hand.

Het punt zit hem in wélk account er gebruikt wordt. Veel medewerkers loggen op hun werklaptop in met hun privé Gmail-account. Vaak zonder erbij na te denken, soms omdat het bij het installeren van Chrome gewoon zo gevraagd wordt. Vanaf dat moment gaat elk wachtwoord dat de browser opslaat, dus ook dat van jullie boekhoudpakket, het klantportaal of de webshopbeheeromgeving, mee naar een account waar jij als werkgever geen enkele zeggenschap over hebt.

Het scenario, stap voor stap

Een medewerker werkt jarenlang in Chrome op zijn werklaptop, ingelogd met zijn privé Gmail-account.
Chrome slaat onderweg netjes alle zakelijke wachtwoorden op en synchroniseert die naar dat privéaccount.
De medewerker vertrekt. De laptop gaat terug, het personeelsaccount wordt geblokkeerd, de overdracht is afgerond.
Thuis opent hij Chrome op zijn eigen laptop, ingelogd met datzelfde Gmail-account. En daar staan ze: alle bedrijfswachtwoorden, keurig gesynchroniseerd.

Let op wat hier gebeurt. Er is niets gestolen en niemand heeft kwaad in de zin. De techniek heeft precies gedaan wat hij moest doen. Maar het resultaat is dat toegang tot jouw systemen buiten je organisatie ligt, zonder dat er ergens een alarm afgaat.

Waarom dit meer is dan een theoretisch risico

Bij uitdiensttreding zet je het Microsoft 365-account uit en trek je de laptop in. Dat dekt de accounts die je kent. Maar de wachtwoorden in een browserkluis gaan over systemen die vaak niet in dat rijtje staan: leveranciersportalen, de webshop, een verzendsoftwarepakket, een marketingtool. Precies de accounts die niet aan je centrale inlog hangen en die je dus ook niet centraal kunt intrekken.

Daar komt bij dat een privé Gmail-account meestal zwakker beveiligd is dan je zakelijke omgeving. Raakt dat account gecompromitteerd, bijvoorbeeld door een datalek bij een heel andere dienst, dan liggen jouw zakelijke inloggegevens mee op straat. En als er dan iets misgaat, is de vraag die je krijgt van je verzekeraar, je auditor of je grootste klant simpel: wie had er toegang, en hoe wist je dat?

Werk je voor of lever je aan een organisatie die onder de Cyberbeveiligingswet valt, dan krijg je dat soort vragen sowieso. Aantoonbaar toegangsbeheer is daar een vast onderdeel van.

De oplossing is simpeler dan je denkt

Je hoeft hier geen groot project van te maken. Vier maatregelen dekken het risico af.

1. Sta geen privéaccounts toe in de browser. Chrome heeft beheerinstellingen waarmee je precies dit regelt. Met een aanmeldpatroon bepaal je dat alleen zakelijke accounts mogen inloggen. Met een synchronisatie-instelling sluit je specifieke gegevenstypen uit, waaronder wachtwoorden. Je kunt browseraanmelding ook volledig uitzetten. Dat is beleid, geen discussie per medewerker.

2. Werk met Microsoft Edge op het zakelijke account. Edge synchroniseert dan naar jullie eigen Microsoft 365-omgeving. Trek je bij vertrek dat account in, dan is de toegang tot de gesynchroniseerde gegevens ook weg. Dat scheelt een losse stap in je uitdienstproces.

3. Rol een wachtwoordmanager uit. Zo halen medewerkers hun wachtwoorden uit de browserkluis en zet je ze in een omgeving die jij beheert. Je kunt accounts veilig delen binnen een team, zonder wachtwoorden te mailen, en je ziet in één overzicht wie waar bij kan.

Bekende zakelijke wachtwoordmanagers zijn LastPass, Keeper, 1Password, Bitwarden en Dashlane. Op hoofdlijnen doen ze hetzelfde: één centrale kluis, automatisch sterke en unieke wachtwoorden genereren, veilig delen binnen een team, en meestal een dark-webcontrole die je waarschuwt zodra een van jullie e-mailadressen of wachtwoorden in een datalek opduikt. Het verschil zit vooral in het beheer, de koppeling met Microsoft 365 en de prijs per gebruiker.

Wij leveren zelf LastPass, omdat die zich in de praktijk prettig laat uitrollen en beheren in een MKB-omgeving. Werk je liever met een ander pakket, of draait er al een? Dan denken we daar net zo goed in mee. Belangrijker dan de merknaam is dat er überhaupt één staat, en dat hij ook echt gebruikt wordt.

4. Zet het vast in beleid en in je uitdienstchecklist. Leg vast dat browsers geen wachtwoorden lokaal opslaan en neem de browserkluis op in de checklist bij vertrek. Aantoonbaarheid is het halve werk.

Bij de moderne werkplek die wij inrichten, staan die eerste twee punten standaard goed. Niet omdat het een extra dienst is, maar omdat het gewoon hoort bij een werkplek die klopt.

En als je vermoedt dat het al gebeurd is?

Geen paniek, maar wel actie. Breng eerst in kaart welke systemen buiten je centrale inlog om benaderd worden en wie daar de afgelopen tijd bij kon. Wijzig vervolgens de wachtwoorden van die accounts, te beginnen bij de systemen met klant- of financiële gegevens. Zet meervoudige verificatie (MFA) aan waar dat kan, want dan is een gelekt wachtwoord op zichzelf niet meer genoeg om binnen te komen. En regel daarna de vier maatregelen hierboven, zodat je dit niet nog een keer hoeft te doen.

De echte vraag

Dit is geen vergezocht scenario. Het kan bij vrijwel elk bedrijf in Nederland spelen, juist omdat er niemand iets fout doet. Het is dus niet de vraag óf dit bij jouw organisatie speelt. Het is de vraag of je het al hebt uitgezocht.

Wij kijken graag met je mee naar je browser- en wachtwoordbeleid. Meestal is het binnen een uur helder, en het instellen is daarna een kwestie van doen. ICT zonder gedoe.

Neem contact op of plan een vrijblijvend gesprek.

Onze filosofie: ICT Zonder Gedoe

GOsensit behartigt alle ICT-belangen van haar opdrachtgevers. Op strategisch niveau maken we afspraken over het ICT-beleid. Op tactisch niveau richten we samen de processen in die zorgen voor een vloeiende uitvoering. Ook op operationeel niveau zorgen we voor professionele kennis en gebruiken we geautomatiseerde systemen ten behoeve van support, incidentmanagement, projectmanagement, assetmanagement, CRM, proactief beheer, documentatiesystemen enzovoorts. We doen dat tegen een vast bedrag per maand zodat jouw ICT-kosten voorspelbaar zijn. Bovendien hebben we er zo beide baat bij dat jouw ICT-omgeving probleemloos werkt, want het oplossen van ICT-problemen is voor onze rekening.

Wij noemen dat ICT zonder gedoe. Ben je benieuwd hoe ICT zonder gedoe jouw bedrijf kan helpen? Vragen staat vrij!